El 12 de octubre de 2026 a las 14:32:18Z, el servidor Ubuntu ir-lab-ubuntu24 aceptó un inicio de sesión inesperado para la cuenta ops. El atacante no necesitó modificar ningún programa ni descifrar datos, ya que la cuenta ops ya tenía acceso a archivos que debían pertenecer exclusivamente a socalyst o a root. Nuestra pregunta desde la perspectiva de la defensa es concreta: ¿qué rutas del sistema de archivos permiten a una cuenta leer, modificar o acceder a elementos que no debería?
Todas las observaciones posteriores se basan en los mismos hechos del caso. La cuenta del analista es socalyst, la cuenta sospechosa es ops y el intervalo de tiempo del incidente abarca desde las 14:10:00Z hasta las 15:10:00Z del 12 de octubre de 2026. Linux almacena el nombre del servidor en /etc/hostname, los registros de cuentas locales en /etc/passwd, los hashes de contraseñas protegidos en /etc/shadow y los archivos de cada cuenta en rutas como /home/socalyst y /home/ops. Una ruta no es simplemente una ubicación; su propiedad y sus permisos determinan quién puede utilizar el objeto situado en dicha ubicación. El host del caso y las rutas donde se encuentran las evidencias definen los límites de nuestra inspección:
Este diagrama muestra que los registros de identidad, la configuración del host, los directorios de inicio y las evidencias de autenticación residen en rutas separadas. Un hallazgo relacionado con /home/ops no demuestra automáticamente que /etc/shadow haya cambiado; por ello, mantenemos cada afirmación vinculada al artefacto que la respalda.
El inicio de sesión inesperado como ops convierte a los permisos en el siguiente aspecto a verificar, ya que Linux evalúa el acceso antes de que un proceso pueda leer un archivo, modificarlo o entrar en un directorio. Un usuario es una cuenta como socalyst u ops. Un grupo es un conjunto con nombre de cuentas que pueden compartir acceso, como el grupo shadow, utilizado para limitar el acceso a los registros de hashes de contraseñas.
Cada objeto del sistema de archivos tiene un propietario, un grupo y tres conjuntos de permisos. Los permisos del propietario se aplican a la cuenta propietaria, los permisos del grupo se aplican a los miembros del grupo asignado y los permisos para “otros” se aplican al resto de los usuarios. Los bits son r para leer contenido, w para modificar contenido y x para ejecutar un programa o entrar en un directorio. En el caso de /home/ops, el permiso de directorio x controla si otra cuenta puede recorrer la ruta para acceder a dicho directorio.
El contraste entre /etc/hostname y /etc/shadow hace evidente la decisión de seguridad. Los procesos necesitan leer el nombre del host, por lo que /etc/hostname suele ser legible para todas las cuentas, mientras que solo los componentes privilegiados del sistema deberían leer los hashes de contraseñas en /etc/shadow. Un acceso de escritura universal (es decir, que el conjunto de permisos para “otros” incluya w) permitiría a cualquier cuenta local modificar un objeto protegido. Un archivo /etc/shadow legible por todos expondría los hashes de contraseñas a ataques de adivinación fuera de línea. Las estructuras esperadas para las rutas del caso facilitan la identificación de desviaciones sospechosas:
Esta tabla muestra que la configuración de permisos depende del propósito de la ruta. La información de identidad y nombre de host accesible públicamente puede facilitar el funcionamiento normal del sistema; sin embargo, el acceso de escritura permanece restringido, ya que la modificación de registros de identidad o de la configuración del host podría inducir a error en investigaciones posteriores.
[fuentes][/fuentes]
Regla sobre permisos Considere el modo de permisos como evidencia de acceso permitido, no como prueba de que el acceso realmente ocurrió. Para respaldar una afirmación sobre una acción, se requieren registros (logs) y marcas de tiempo.
[fuentes][/fuentes]
Dado que los permisos describen el acceso actual y no la intención, primero preservamos los datos observables de ir-lab-ubuntu24. Los comandos hostnamectl, id, ls -l, stat y readlink -f responden a distintas cuestiones sin modificar los archivos examinados. hostnamectl informa sobre la identidad del host configurada. id ops e id socalyst determinan la identidad numérica y la pertenencia a grupos de cada cuenta. Estas identidades numéricas son relevantes porque Linux almacena la propiedad mediante identificadores de usuario y grupo, incluso cuando la salida del comando muestra nombres familiares.
[fuentes][/fuentes]
Para las rutas /etc/hostname, /etc/passwd y /etc/shadow, el comando ls -l ofrece una vista compacta de los bits de permiso, el propietario, el grupo, el tamaño y una marca de tiempo. stat proporciona metadatos más precisos, incluidos el modo numérico y la hora de modificación. readlink -f resuelve una ruta hasta su destino final; esto evita que un enlace simbólico —un objeto del sistema de archivos que apunta a otra ubicación— oculte el lugar que realmente hemos inspeccionado. La siguiente sesión registra los datos del caso sin afirmar el motivo de la existencia de ninguna marca de tiempo o permiso:
[fuentes][/fuentes]